Непрерывный мониторинг HTTP-заголовков (22 проверки)

Непрерывный мониторинг HTTP-заголовков — это постоянная (ежемесячная) услуга: мы регулярно проверяем ответы вашего сайта на согласованном наборе URL и сверяем до 22 заголовков с эталоном, который зафиксировали вместе с вами. Сюда входят заголовки безопасности (HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Resource-Policy, Cross-Origin-Opener-Policy и др.), кэширования и доставки (Cache-Control, Vary, ETag, Alt-Svc), а также reporting-заголовки. Если после очередного деплоя или изменения конфигурации заголовок пропал, ослаб (например, CSP стал разрешать лишнее), сменил значение или перестал отдаваться на части страниц — вы сразу получаете алерт с деталями. Честно про суть: это обнаружение изменений и оповещение, а НЕ настройка и НЕ исправление — мы не выставляем заголовки на вашем сервере и не «делаем сайт безопасным»; настройку и устранение делает ваша команда или мы отдельно. И принципиально: наличие заголовка не равно правильной конфигурации, а правильная конфигурация не равно «сайт защищён» — заголовки лишь один слой, и мониторинг не гарантирует отсутствие уязвимостей или взлома, он ловит дрейф и регрессии в заголовках. Важно: мы следим за дрейфом от эталона — то есть базовый набор заголовков уже должен быть выставлен; если их нет вовсе, сначала нужна разовая настройка (отдельно), а уже потом непрерывный мониторинг, чтобы они не «уехали». Покрытие — только настроенные URL; при росте сайта список нужно актуализировать вместе с вами. Возможны ложные срабатывания на легитимных изменениях (вы сами поменяли политику) — поэтому эталон мы обновляем по согласованию. Нужен доступ к сайту для проверки ответов; на алерт должен кто-то реагировать. Это снимок состояния в каждый момент проверки, собранный в непрерывную картину. Важная граница: это постоянный мониторинг заголовков, а не разовый аудит безопасности (глубокая проверка с рекомендациями — отдельно) и не настройка сервера/CDN. Если сайт простой, без форм, личных кабинетов и чувствительных данных — строгий набор заголовков и постоянный мониторинг могут быть избыточны, хватит разовой проверки. Представьте: вместо «полгода назад настроили CSP, а после редизайна он молча ослаб и никто не заметил» вы получаете алерт в день деплоя, что политика безопасности изменилась. Базовая цена — от 9 000 ₽ в месяц; зависит от числа URL и частоты проверок.

• Настроили заголовки безопасности, но не знаете, не «уехали» ли они после деплоев.
• После редизайна или переезда часть заголовков могла молча пропасть.
• Не уверены, что CSP и другие политики не ослабли со временем.
• Узнаёте о проблемах с заголовками только при внешней проверке или инциденте.

• Сверка до 22 заголовков с зафиксированным эталоном
• Заголовки безопасности (HSTS, CSP, X-Frame, X-Content-Type, Referrer-Policy, Permissions-Policy, CORP, COOP)
• Заголовки кэширования и доставки (Cache-Control, Vary, ETag, Alt-Svc) + reporting
• Алерты при пропаже, ослаблении или изменении заголовка
• Контроль на согласованном наборе URL
• Обновление эталона по согласованию (меньше ложных)
• Ежемесячная непрерывная работа проверки
• Канал оповещений по вашему выбору (почта, мессенджер, вебхук)

• Быстро узнаёте, если заголовок пропал или ослаб после деплоя
• Видно, на каком URL и какой заголовок изменился
• Меньше шанс молча потерять настроенную защиту со временем
• Понятно, что выставить или вернуть (настройка — отдельно)

• Фиксируем эталон заголовков, согласуем URL и канал алертов; собираем доступ
• Настраиваем регулярную сверку до 22 заголовков с эталоном
• Запускаем непрерывную проверку, обновляем эталон по легитимным изменениям

• Вы настроите заголовки и сделаете сайт безопасным?

  Нет. Это мониторинг: он сверяет заголовки с эталоном и шлёт алерт при изменении. Выставление заголовков на сервере, настройку CSP и устранение проблем делает ваша команда или мы отдельно. И наличие заголовков не равно «сайт защищён» — это лишь один слой, мониторинг не гарантирует отсутствие уязвимостей.

• Что если заголовки у меня вообще не выставлены?

  Тогда сначала нужна разовая настройка (отдельная работа или аудит безопасности с рекомендациями), потому что мониторинг следит за дрейфом от эталона. Когда базовый набор есть — непрерывный мониторинг следит, чтобы он со временем не «уехал».

• Это подписка или разовая проверка?

  Постоянная услуга с помесячной оплатой: фиксируем эталон один раз, дальше сверка идёт непрерывно и шлёт алерты. Разовая проверка заголовков — это часть аудита безопасности, другой формат.